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Verfahren zur Progr ammierung von Flash-E-PRQMs in einer 
mit einem Mi kroprozessor ausgeriisteten Steuerelektronik 
fur St raBenf ahr zeuge 

Die Erfindung betrifft ein Programmierver f ahren fur ei- 
nen elektronisch losch- und beschreibbaren Speicher in 
einem elekt ronischen Steuergerat, insbesondere fur den 
Einsatz in Strafienf ahr zeugen . 

In Stralienf ahr zeugen mit elektronisch gesteuerten oder 
geregelten Einr ichtungen , z . B. elektronischer Anti- 
blockier-Bremsregelung, ist es iiblich, die Mikroprozes- 
soren in den elektronischen Steuereinr ichtungen als 
Mas ken-programmierte Mikroprozessoren auszubilden . 

Seit dem Erscheinen von 1 -Chip-Mi kroprozessoren, die 
uber ein integriertes Flash-E-PROM verfugen, ist es 
auch moglich geworden, diesen Flash-E-PROM-Bereich auch 
als Programmspeicher fur den Mikroprozessor zu be- 
nutzen, was zunachst vorwiegend zur Prototypenentwick- 
lung verwendet wurde. Neben solchen Prototypen ist es 
auch bei Serien iiblich geworden, den Flash-E-PROM-Spei- 
cher als Programm- und Datenspeicher fur den Mikropro- 
zessor zu verwenden. 

Zur Zeit der Einreichung dieser Patentanmeldung werden 
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sowohl Mas ken-prog rammierte wie Flash-E-PROM-program- 
mierte Mikroprozessoren fiir jeweils ein bestimmtes 
Steuergerat vorgesehen, wobei diesem Steuergerat dann 
der letztgultige Software-Stand zugrundegelegt ist. 

Aller dings we r den Sof tware-Steuerprogramme iiblicher- 
weise kontinuierlich weiterentwickelt , und der in die- 
sem Rahmen entwickelte nachsthohere (jungere) Software- 
Stand wird dann in der nachsten Serie verwendet, d. h. 
dieser neue Software-Stand ist dann in den Programm- 
speichern dieser nachsten Seriengerate enthalten. 

Diese an Serien orientierte Ver f ahrensweise hat zur 
Folge, daft neu entwickelte Sof tware-Stande nicht in 
Steuergerate alterer Serien ubernommen werden, seien 
dies Masken-programmierte oder Flash-E-PROM-program- 
mierte Ausf uhrungsf ormen . 

Dagegen ist es in der Sof twaretechni k, vor allem bei 
kommer ziellen Programmen der allgemeinen Datenverarbei- 
tung, seit langem iiblich, bestehende Programme zu "up- 
daten", d. h. sie in z. B. einem PC mit einer neuen, 
aktualisierten Programmversion zu uberschreiben, die 
dann lauffahig ist. 

Ein derartiges einfaches Uber schreiben eines alten 
Speicher zustandes durch einen neuen, aktualisierten 
Speicher zustand ist bei in St raftenf ahr zeugen verwende- 
ten Steuereinrichtungen ohne weitere Maftnahmen aus Si- 
cherheitsgrunden nicht moglich: Ein bestimmtes Programm 
darf nur in ein ganz bestimmtes, zu diesem Programm 
passendes Steuergerat geladen werden, was als solches 
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anhand des neu-aktualisierten Speicher zustandes nicht 
zu erkennen ist - z. B. wiirde ein ABS-Bremsregelpro- 
gramm in einem Get riebe-Steuergerat erstens natlirlich 
nicht f unkt ionieren und konnte zweitens dort unter 
Umstanden sogar fehlerhafte, das Fahrzeug gefahrdende 
Vorgange auslosen. 

Neben der erf orderlichen passenden Zuordnung von Steu- 
ergerat und Steuerprogramm in grundsat zlicher Art und 
Weise darf aber auch ein z. B. altes ABS-Regelprogramm, 
welches fur einen best immten Fahrzeugtyp entwickelt 
wurde, nicht einfach durch ein neu entwickeltes , aktu- 
elles ABS-Regelprogramm uberschrieben werden, das nicht 
fur diesen Fahrzeugtyp freigegeben ist. 

Mit neueren Generationen von Mikroprozessoren ist der 
Einsatz der Flash-E-PROM-Technik z, B. bei 1-Chip- 
Mi kroprozessoren kont inuierlich kostenguns tiger gewor- 
den, und zudem sind nun zunehmend groftere Flash-E-PROM- 
Speicher verf ugbar . 

Angeregt durch diese Entwicklung besteht ein immer gro- 
lieres Interesse der Fahr zeughersteller , ein von einem 
Steuerungshersteller bezogenes Gerat auch mit einer 
neuen Programmversion nachrusten zu konnen, 

Aus der EP 0 836 739 Bl ist ein Verfahren zum Aktuali- 
sieren eines elekt ronischen loschbaren Speichers 
( Flash-EPROM-Speicher , (dort (4)) eines elektronischen 
Gerates (dort (5)) iiber einen mit dem elektronischen 
Gerat verbundenen Personal Computer (dort (1)) bekannt. 
Im Speicherbereich (dort (2)) des Personal Computers 



ist unter anderem der Neuprogrammierungs-Code (dort 
(3)) fiir den Flash-EPROM-Speicher geladen; weiter ist 
dort ein Speicher mit wahlbarem Zugriff (dort RAM-Spei- 
cher (6)) vorgesehen, in dem ein Ablauf -Programm ge- 
speichert ist. Nach einer Kommunikat ionsauf nahme zwi- 
schen dem Personal Computer und dem elektrischen Gerat 
wird das Ablauf -Programm in einem im elektronischen Ge- 
rat vorgesehenen Speicher mit wahlfreiem Zugriff (dort 
RAM-Speicher (7) ) geladen und nach Prufung der ord- 
nungsgemaBen Ubertragung dort aktiviert. Unter Nutzung 
des aktivierten Ablauf -Programms wird der Neuprogram- 
mierungs-Code in den Flash-EPROM-Speicher des elektro- 
nischen Cerates geladen und der Aktualisierungsvorgang 
wird durch einen RESET des Personal Computers abge- 
schlossen. In dieser Schrift sind keine Pruf ungsmaBnah- 
men zur Identif izierung des elektronischen Cerates vor- 
gesehen . 

Zur Programmierung kann auch ein Diagnosegerat verwen- 
det werden; derartige elektronische Diagnosegerate wer- 
den in Kf z-Wer kstatten fur viele Arten von elek- 
trisch /elektronischen Wartungsarbeiten benut zt . Hier zu 
wird das Anschlulikabel des Diagnosegerat s am Fahrzeug 
auf einen dort angebrachten Diagnosestecker gesteckt, 
und dann kann das Diagnosegerat nach dem Client /Server- 
Prinzip mit einem im Fahrzeug untergebrachten elektro- 
nischen Steuergerat kommuni zieren, wobei das Diagnose- 
gerat den Client und das Steuergerat den Server dar- 
stellt und die Kommunikat ion zwischen beiden nach einem 
festgelegten Diagnoseprotokoll , z. B. dem KWP2000-Pro- 
tokoll (Keyword-Protokoll 2000 nach ISO 14230), durch- 
gefuhrt wird. 



Ein solches iibliches Diagnosegerat bietet auch die Mog- 
lichkeit, Daten oder Programme in ein Steuergerat mit 
Hilfe eines Download-Prozesses zu iibertragen, so daB 
unter Verwendung des Diagnosegerates die Neuprogrammie- 
rung eines mit einem Flash-E-PROM ausgeriisteten Steuer- 
gerates grundsat zlich moglich ist- 

Hierzu findet beispielsweise zwischen dem Diagnosegerat 
und dem Steuergerat ein Dialog statt, in dem z. B. ein 
auf einer Zufallszahl basierender Schlusselcode vom 
Diagnosegerat erzeugt und von beiden Geraten auf logi- 
sche Konsistenz uberpruft wird. Bei Ubereinst immung der 
logischen Konsistenz wird der Download-ProzeB (d. h. 
das Ubertragen in das Steuergerat und das Programmieren 
des Flash-E-PROMs ) vom Diagnosegerat eroffnet und in 
einem weiteren Dialog mit dem Steuergerat abgewickelt. 

Bei diesem Verfahren wird die Zugangsberechtigung fiir 
das Downloaden im Rahmen des erlauterten Schlusselcode- 
Dialogs durchgef uhrt . Bei diesem Dialog wird aber le- 
diglich gepruft, ob Diagnosegerat und Steuergerat in 
ihrer logischen Struktur zusammenpassen, so wie dies 
der Fahr zeughersteller im Diagnosegerat fiir die Steuer- 
gerate in "seinen" Fahrzeugen vorgesehen hat. 

Der nachfolgende Download-Prozefi erfolgt dann z. B. mit 
dem unten erlauterten " speicherabbild . hex" (1), das 
keine Information uber das Steuergerat selbst enthalt. 

Das "Downloaden" eines neuen Programms nach dem oben 
beschr iebenen Verfahren deckt eine auf den Inhalt des 



Neuprogrammie rungs -Code bezogene Eignungspriif ung des 
Steuergerates fiir das neue Programm in keiner Weise ab^ 
weshalb es per se keinerlei Sicherheit gegenuber einer 
Falschprogrammierung bietet . 

Durch Einfugen von weiteren Schritten in den Download- 
Prozeli kann z. B. ein Bediener an Hand des Typenschilds 
des Steuergerates oder auch das Diagnosegerat mit Hilfe 
von Anfragen an das Steuergerat weitere Inf ormat ionen 
wie z-B. die Steuergerate-Teilenummer erhalten. Anhand 
dieser Inf ormat ionen kann ein Bediener oder das Diagno- 
segerat selbst prufen, ob das Steuergerat das fiir die 
Programmierung vorgesehene ist. Hiermit kann grundsatz- 
lich eine Eignungspruf ung durch den Bediener oder das 
Diagnosegerat erfolgen. 

Dieses Verfahren hat jedoch zum einen den Nachteil, daft 
die Eignungspruf ung nicht zwangslaufig erfolgen muss. 
Zum anderen kann die Prufung, z. B. an Hand der Steuer- 
gerate-Teilenummer, nur durch einen Vergleich mit In- 
formationen erfolgen, die nicht unmittelbarer Bestand- 
teil des Neuprogrammierungs-Codes sind. Hierdurch erge- 
ben sich vielfaltige Fehlerquellen, z.B. durch Fehlbe- 
dienung oder durch fehlerhafte Vorgaben fiir das Diagno- 
segerat, Diese Nachteile beeintrachtigen die Prozeftsi- 
cherheit bezuglich einer Falschprogrammierung, insbe- 
sondere bei einem breiten Einsatz in KFZ-Wer kstatten . 

Der Erfindung liegt also die Aufgabe zugrunde, ein si- 
cheres Verfahren zur Re-Programmierung von einem, in 
einem elekt ronischen Steuergerat vorgesehenen , elektro- 
nisch losch- und beschreibbaren Speicher anzugeben. 



Diese Aufgabe wird durch die im Patentanspruch 1 ange- 
gebene Erfindung gelost; Weiterbildungen und vorteil- 
hafte Ausf iihrungsbeispiele der Erfindung sind in den 
Unteranspriichen angegeben . 

Die Erfindung lost sich von der Funktion des Diagnose- 
gerats nach dem Stand der Technik, das dort als zen- 
trale Priifinstanz verwendet wird: Beim er f indungsgema- 
ften Verfahren wird zwar auch das Diagnosegerat der Kfz- 
Werkstatt zum Laden der Programmierdaten im Steuergerat 
benutzt, und es findet damit iiblicherweise auch der 
vorstehend erlauterte Schlussel code- Dialog zwischen 
Diagnosegerat und Steuergerat statt, jedoch wird die 
entscheidende Prufung auf die Zulassigkeit des Steuer- 
gerates zum Code des Neuprogramms durch das Steuergerat 
selbst aufgrund der zum Steuergerat ubertragenen Daten 
f estgestellt . Die Prufaktionen des Diagnosegerat s 
selbst konnen zusatzlich stattfinden, haben aber als 
solche eine geringe Bedeutung, da das Diagnosegerat bei 
der Erfindung lediglich zur Datenubertragung benutzt 
wird - 

Das erf indungsgemaiie Verfahren hat den Vorteil, dali 
alle sicherheit srelevanten Priifungen vom Programm des 
Steuergerats selbst durchgefiihrt werden, so dafS Fehler 
praktisch ausgeschlossen werden. 

Die Erfindung hat welter den Vorteil, daii sie im Feld 
von dem in KFZ-Wer kstatten vorhandenen Wartungsper sonal 
durchgefuhrt werden kann, welches iiblicherweise nicht 
liber besondere Programmier kenntnisse verfugt. 
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Ein weiterer Vorteil der Erfindung besteht darin, daft 
eine Manipulierung von Programmierdaten sicher durch 
das Steuergerat erkannt wird. 

Eine Weiterbildung der Erfindung hat den Vorteil, daft 
die Daten zur Programmierung im Feld als verschlusselte 
Daten vorliegen, und daft dadurch die fur den Know-How- 
Schutz des Steuergerateherstellers sehr wichtige Ver- 
traulichkeit des Objektcode bei der Dist ribut ion . ge- 
wahrt ist. 

Die Erfindung wird im folgenden anhand eines Ausfuh- 
rungsbeispiels , das in der Zeichnung dargestellt ist, 
naher erlautert. 

Es zeigen: 

Fig. 1 Den Ablauf des Verfahrens zur sicheren 
Neuprogrammierung von Steuergeraten ; 

Fig. 2 die beim Neuprogrammierungs-Verf ahren be- 
nutzten Dateien, die Speicherabbild-Datei , 
die Beschreibungsdatei fiir das Steuerge- 
rat, welches durch eine Hardware-Nummer 
festgelegt ist, und die Programmierdaten- 
sat z-Datei ; 

Fig. 3 die Beschreibungsdatei in erweiterten Aus- 
f uhrungsf ormen , namlich 

Fig. 3a eine Beschreibungsdatei mit mehreren Hard- 
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ware-Nummern, 



Fig. 3b eine Beschreibungsdatei , bei der eine 

Hardware-Nummer durch einen Bereich von 
Seriennummern eingeschrankt ist. 



Fig. 3c eine Beschreibungsdatei , bei der eine 

Hardware-Nummer durch eine Sof tware-Nummer 
eingeschrankt ist , 



Fig. 3d eine Beschreibungsdatei , bei der eine 

Hardware-Nummer sowohl durch einen Bereich 
von Seriennummern als auch durch eine 
Sof tware-Nummer eingeschrankt ist. 



Fig. 3e eine Beschreibungsdatei mit mehreren Hard- 
ware-Nummern, bei der eine Hardware-Nummer 
durch mehrere Bereiche von Seriennummern 
und durch mehrere Sof tware-Nummern einge- 
schrankt ist. 

Fig. 3f eine Beschreibungsdatei mit zwei Speicher- 
abbild-Dateien und zwei Hardware-Nummern, 
bei der jeweils eine Speicherabbild-Datei 
einer Hardware-Nummer zugeordnet ist; 



Fig. 4 ein Blockschaltbild des Steuergerates ; 



Fig. 5 ein stark vereinf achtes Blockschaltbild 
der Fahrzeugelektroni k . 
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Das Blockschaltbild nach Fig. 4 zeigt ein elektroni- 
sches Steuergerat (4) mit einem z. B. als Flash-E-PROM 
ausgebildeten elektronisch losch- und beschreibbaren 
Speicher (5), einem Random-Access Speicher (20), einem 
Mikroprozessor (21), einem Prozeli-Interf ace (22) mit 
Eingangen (23) fiir die vom Steuergerat (4) benutzten 
Sensoren und Ausgangen (24) zum Anschluft der vom Steu- 
ergerat (4) betriebenen Aktuatoren. Weiter sind ein 
CAN-Interf ace (25) , das einen CAN-AnschluBstecker (26) 
fiir die zu verdrillenden Leitungen CAN_H und CAN_L ei- 
nes CAN-Fahr zeugbusses ((10), Fig. 5) zur Verfiigung 
stellt, und eine Flash-E-PROM Programmiereinr ichtung 
(27) vorgesehen. Alle genannten Einheiten sind in be- 
kannter Weise mit einem Adreft- und Datenbus (28) ver- 
bunden . 

Wie ublich ist der Mikroprozessor (21) zur Steuerung 
der anderen Einheiten vorgesehen; das Systemprogramm 
fiir den Mikroprozessor (21) ist in einem Programmbe- 
reich (29) des Flash-E-PROM untergebracht , der im Aus- 
f iih rung sbei spiel den hoheren Adress-Speicherbereich 
einnimmt. Die unten erlauterten Test- und Programmier- 
schritte, die das Steuergerat (4) im Zusammenhang mit 
dem Neuprogrammierungsverf ahren durchfuhrt, werden alle 
durch das Systemprogramm durchgef uhrt , so dafi der Sy- 
stemprogrammbereich (29) wahrend des Betriebes des 
Steuergerates nicht verandert wird. 

Unter Verwendung der Flash-E-PROM Programmier-einr ich- 
tung (27) konnen Speicher zellen im Flash-E-PROM (5) ge- 
loscht und beschrieben werden, so dafi das Steuergerat 
(4) in der Lage ist, seinen eigenen Speicher zu veran- 
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dern . 

Im Adressbereich des Flash-E-PROM-Speichers (5) ist ein 
Veranderungs-Bereich (6) mit dem Adressbereich 0080 bis 
008F vorgesehen; zur Erlauterung des Verfahrens soli 
dieser Bereich im weiteren mit einem bestimmten Daten- 
muster iiberschrieben werden. 

Der Flash-E-PROM-Speicher (5) ist beim Ausf uhrungsbei- 
spiel also sowohl als Programm- als auch als Datenspei- 
cher ausgebildet; in anderen Ausf iihrungsf ormen ist es 
naturlich auch moglich, mehrere Flash-E-PROM-Speicher 
vorzusehen, wobei ein Teil der Speicher als Daten- und 
ein anderer Teil als Programmspeicher zu verwenden ist. 
Das Systemprogramm kann naturlich auch in einem festen, 
zum Beispiel maskenprogrammierten Programm-Speicher 
enthalten sein. Naturlich ist es auch moglich, die er- 
lauterten Einheiten teilweise oder ganz in einem einzi- 
gen Chip zu integrieren, so dali Telle der elektrischen 
Logik Oder die gesamte elektronische Logik des Steuer- 
gerates (4) in diesem Chip enthalten ist. 

Das Programmierver f ahren fur mindestens einen Bereich, 
namlich den Veranderungsbereich (6) in dem Flash-E- 
PROM-Speicher (5) gliedert sich in sieben Schritte; 
vergleiche hierzu Fig. 1. 

In einem ersten Schritt wird ein Speicherabbild (1) fur 
den Veranderungsbereich (6) im Flash-E-PROM-Speicher 
(5) erzeugt. Hierzu konnen fur diesen Zweck geeignete 
Programme, wie Compiler, Assembler, Linker, HEX-Con- 
verter oder ahnliche Programme benutzt werden. Fur das 
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Format der Speicherabbild-Datei kann jedes Format ge- 
wahlt werden, das bei Diagnosegeraten ublich ist, zum 
Beispiel das Format Motorola-S-Records . 

Im Ausf uhrungsbeispiel wird fur das Format der Datei 
"speicherabbild . hex" (1) nach Fig. 2b das Intel-Hex- 
Format zu Grunde gelegt, welches eines der gebrauchli- 
Chen Formate von Diagnose- und Programmiergeraten dar- 
stellt- Dieser Datei liegt das als Tabelle in Fig. 2a 
dargestellte Speicherabbild zugrunde, bei dem in die 
16 Speicher zellen der Hex-Adressen 0080 bis 008F hexa- 
dezimale Inhalte FF bis FO eingetragen sind; dieses 
Testmuster ist der guten Ubersicht lichkeit halber fur 
das Ausf uhrungsbeispiel gewahlt. 

Die Datei "speicherabbild . hex" (1) besteht aus zwei 
Records, einem ersten Daten-Record mit einem Load- 
Offset (dieser bestimmt die Startadresse ) von OOBOh und 
einem zweiten End of File-Record. Beim Intel-Hex-Format 
dienen die mit der Record-Marke " : " beginnenden ersten 
funf Byte eines Records, die in Fig. 2b einfach unter- 
strichen sind, zur Kennzeichnung des Records und stel- 
len den Record-Header dar; als letztes Byte eines 
Records wird eine Checksumme ausgegeben, diese ist in 
Fig. 2b doppelt unterstrichen . 

Mit dieser Unterstreichungs-Kennzeichnung in Fig. 2b 
ist sehr einfach nachzuvollziehen, daft die Daten im er- 
sten Record von "speicherabbild . hex" (1) die 
16 Datenbyte FFh bis FOh in der in Fig. 2a gezeigten 
Adressreihenf olge darstellen . 
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Entsprechend Fig. 1 werden fur den weiteren Ablauf Be- 
schreibungsdaten benotigt, und diese werden in einem 
zweiten Schritt erzeugt. Ein Beschreibungsdatensat z 
enthalt eine Geratebeschreibung der elektronischen 
Steuergerate, die fiir die Programmierung zugelassen 
sind. Im Ausf uhrungsbeispiel Fig. 2c ist der Beschrei- 
bungsdatensat z als Textfile "beschreibung.txt" (2) auf- 
gebaut; er enthalt eine Hardware-Produktnummer , die ei- 
nen ganz bestimmten Geratestand eines elektronischen 
Steuergerates beschreibt; sie wird im folgenden verein- 
fachend als Hardware-Nummer bezeichnet. In einem Be- 
schreibungsdatensat z ist mindestens eine Hardware-Num- 
mer eingetragen, so wie dies im Ausf uhrungsbeispiel 
nach Fig. 2c gezeigt ist. 

Unter dem Begriff "Hardware-Nummer" wird jede eindeu- 
tige Kennung eines bestimmten Geratezustandes verstan- 
den, die zum Beispiel, wie im Ausf uhrungsbeispiel , 
durch eine numerische Zeichenfolge bestimmt ist. Alter- 
nativ kann beispielsweise eine alphanumerische Ziffern- 
folge Oder eine graphische Bezeichnung, zum Beispiel in 
Form eines Barcodes, gewahlt werden. Bei einer graphi- 
schen Bezeichnung ist statt des Text-Formates, wie im 
Ausf uhrungsbeispiel , ein entsprechend anderer Dateityp 
zu wahlen. Das im Ausf uhrungsspiel nach Fig. 2c ge- 
wahlte Text-Format ist durch seine Einfachheit und 
Klarheit vorteilhaft, da sich sein Inhalt ohne jede 
weitere Erlauterung aus dem Text erschliefit, der aulier- 
dem sehr deutlich mit Klartext kommentiert werden kann. 
Der Datenfile "beschreibung.txt" (2) nach Fig. 2c ent- 
halt fiir die weitere Verarbeitung den Namen der Input- 
Datei, mit der der File zu verarbeiten ist, namlich die 
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Datei " speicherabbild . hex" (1) nach Fig. 2b, und, wie 
unten erlautert, den Namen der Output-Datei , die das 
Ergebnis der Verarbeitung darstellt. 

Entsprechend Fig. 1 wird unter Verwendung eines Pro- 
grammierdaten-Konverters (7) aus dem Speicher-abbild, 
der Datei " speicherabbild . hex" (1) und dem Beschrei- 
bungsdatensat z, der Datei "beschreibung . txt " (2) ein 
Programmierdatensat z in Form der Datei "programmierda- 
ten. hex (3) erzeugt, was in einem dritten Schritt er- 
f olgt . 

Die Datei "programmierdaten , hex" (3) ist in Fig. 2f 
dargestellt, wobei der Daten-Inhalt in Fig. 2d und das 
Datei-Format in Fig. 2e erlautert sind. 

Fiir die Datei (3) des Programmierdatensat zes nach 
Fig. 2f ist wiederum das Intel-Hex-Format gewahlt; in 
dieses "Mutter-Format" sind die Daten nach Fig. 2d in 
einer Record-Struktur im Format nach Fig. 2e als "Toch- 
ter-Format" eingebettet. Die Datei (3) des Programmier- 
datensatzes enthalt sowohl die zur Programmierung er- 
forderliche Information aus der Datei (1) des Speicher- 
abbilds als auch die Gerate-Beschreibung aus der Datei 
(2) des Beschreibungsdatensat zes . 

Entsprechend den Formaterlauterungen unter Fig. 2e wird 
ein erster Record vom Typ 02h erzeugt, der auf der An- 
nahme einer zehnstelligen Hardware-Nummer basiert, so 
dafi sich die Angabe einer Record-Lange erubrigt. Beim 
Inhalt des Programmierdatensat zes nach Fig. 2d ist da- 
her das erste Byte der Record-Typ "02h" und die Bytes 
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zwei bis sechs stellen eine direkte Umsetzung der zehn- 
stelligen Hardware-Nummer in der Datei (2) des Be- 
schreibungsdatensat zes dar. Es folgt dann ein Record 
vom Typ "06h" mit der Startadresse in 32-Bit-Form; 
durch die feste Lange von 4 Bytes kann auch bei diesem 
Record-Typ auf die Angabe einer Lange verzichtet wer- 
den. Die Bytes Nummer 7 bis 11 in Fig. 2d stellen also 
den Startadressen-Record dar. Nach Fig. 2e folgt dann 
ein Daten-Record vom Typ "07h", fiir den als Lange na- 
tiirlich die Grofte des Daten-Records als "lOh" angegeben 
ist, gefolgt von den 16 Datenbytes des erlauterten 
Speicherabbild-Testmusters . Dieser Record stellt im In- 
halt nach Fig. 2d die Bytes 12 bis 29 dar. 

In der Datei (3) des Programmierdatensat zes sind zwei 
Daten-Records und ein End of File-Record vorhanden, die 
Record-Header sind wiederum einfach und die End of 
File-Records doppelt unterstrichen . Die nicht unter- 
strichenen Telle stellen also die ubertragenen Daten 
dar und diese sind^ wie direkt aus den ersten beiden 
Records der Datei (3) des Programmierdatensat zes er- 
kennbar, die Datenbytes Nummer 1 bis Nummer 29 des Pro- 
grammierdatensat z-Inhalts nach Fig. 2d. Da in der Datei 
(3) des Programmierdatensat zes die Startadresse in Form 
eines Daten-Records gespeichert ist, eriibrigt sich die 
Angabe dieser Adresse im Record-Header der ersten bei- 
den Records; im ersten Record ist eine Record-Lange von 
lOh festgelegt und daher sind dort auch die Bytes Num- 
mer 1 bis 16 nach Fig. 2d als Daten enthalten, dagegen 
werden im zweiten Record die restlichen Bytes Nummer 13 
bis 29 nach Fig. 2d ubertragen, was einer Record-Lange 
von ODh (dezimal 13) entspricht. Der Load-Offset im 
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Header des zweiten Records ist entsprechend der Daten- 
lange des ersten Records auf lOh (dezimal 16) festge- 
legt . 

Wie in Fig. 1 gezeigt, kann der Programmierdatensat z , 
wenn dies gewiinscht ist, wahrend seiner Erzeugung durch 
ein Verschlusselungsprogramm (8) verschliisselt werden, 
was den Vorteil hat, daft die Datei (3) des Programmier- 
datensatzes bei seiner unten erlauterten Weiterleitung 
nur in verschliisselter Form iibergeben wird und das im 
Objekt-Code des Programms enthaltene Know-how des Steu- 
ergerateherstellers damit nicht verof f entlicht wird. 

Es ist auch moglich, den Inhalt des Programmierdaten- 
satzes zu komprimieren, und gegebenenf alls anschlieftend 
zu verschlusseln - 

Die erlauterten ersten bis vierten Schritte finden iib- 
licherweise beim Steuergeratehersteller statt, sie 
stellen einzelne Arbeitsf ortschr itte bei einer geplan- 
ten Neuprogrammierung eines Cerates dar, und eine zeit- 
liche Koordination dieser einzelnen Schritte ist aus 
grundsat zlicher Sicht nicht erf orderlich . 

Nach Fig. 1 wird die zur Distribution geeignete Datei 
(3) des Programmierdatensat zes , die z. B. per E-Mail 
Oder auf dem Postweg verschickt wird, in einem funften 
Schritt in ein Diagnosegerat (9) eingelesen. Dieses 
Diagnosegerat (9) kann in der Fert igungslinie des Fahr- 
zeugherstellers stehen, in der das Steuergerat (4) in 
ein entsprechendes Fahrzeug {(18) nach Fig. 5) einge- 
baut wird, was jedoch ein relativ untypischer Fall ist. 
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da Neugerate meist in fertig programmierter Form vom 
Steuergeratehersteller an den Fahr zeughersteller ausge- 
liefert werden. Typischerweise steht dieses Programmge- 
rat in der Werkstatt eines Fahr zeugherstellers (bzw- 
einer freien Werkstatt) und dient in der bereits vor- 
stehend erlauterten Art und Weise zur Neuprograminierung 
eines Steuergerates (4). 

In einem funften Schritt wird der Programmierdatensat z 
(3) unter Nutzung von Datenubert ragungsmitteln, die 
zwischen dem Diagnosegerat (9) und dem Steuergerat (4) 
bestehen, in dieses tibertragen. Grundsat zlich kann da- 
bei der Programmierdatensat z im Intel-Hex-Format iiber- 
tragen werden. Typischerweise jedoch interpret iert das 
Diagnosegerat bereits das Intel-Hex-Format des Program- 
mierdatensat zes und ubertragt dann den Inhalt des Pro- 
grammierdatensat zes in einer vom Diagnoseprotokoll vor- 
gegebenen Weise an das Steuergerat. 

Die Ubertragung erfolgt besonders vorteilhaft, wenn das 
Steuergerat (4) weder ausgebaut werden muli, noch wenn 
an ihm irgendwelche Manipulat ionen vorgenommen werden 
miissen. Dies ist der Fall, wenn das Anschlufikabel (13) 
des Diagnosegerates (9) lediglich an den Diagnose- 
stecker (11) des Fahrzeugs (18) angeschlossen werden 
muft und die Datenubert ragungsmittel einen direkten 
Transfer zum Steuergerat ermoglichen, wie dies unten im 
Zusammenhang mit Fig. 5 erlautert ist. 

Es sei erganzt, dafi statt eines Diagnosegerates (9) 
grundsat zlich auch irgend ein elekt ronisches Gerat zur 
Realisierung des funften Schrittes, der Ubertragung des 
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Programmierdatensat zes (3) in das Steuergerat (4) ver- 
wendet warden kann, welches lediglich in der Lage sein 
muB, das (moglicherweise ausgebaute) Steuergerat (4) 
uber eine beliebig ausgebildete Schnittstelle (4) elek- 
trisch zu kontaktieren und die Ubertragung unter Ver- 
wendung eines beliebig ausgebildeten Protokolls abzu- 
wickeln. Der Begriff "Diagnosegerat" umfasst in seiner 
im Sinne der Erfindung erweiterten Bedeutung also auch 
a lie derart igen Daten-Ubert ragungsgerate . 

In einem sechsten Schritt pruft das Steuergerat (4) un- 
ter Nutzung seines Systemprogramms im Bereich (29) des 
Flash-E-PROM-Speichers (5), ob es zum Bereich der durch 
die Datei (3) des ubertragenen Programmierdatensat zes 
zugelassenen Steuergerate gehort, und diese Uberpriifung 
wird anhand der Geratebeschreibung im Programmierdaten- 
satz durchgef iihrt . Wenn bei der Programmierdaten-Er- 
stellung eine Verschlusselung vorgenommen worden ist, 
dann miissen die verschliisselten Daten vor ihrer (Jber- 
prufung vom Steuergerat naturlich zuerst ent schlusselt 
werden; gleiches gilt auch fur eine moglicherweise 
durchgef iihrte Datenkomprimierung vor der Dateniibertra- 
gung . 

Ist das elektronische Steuergerat (4) im sechsten 
Schritt zur Feststellung gelangt, daft es zum Bereich 
der zugelassenen Gerate gehort, so wird in einem sieb- 
ten und letzten Schritt der Veranderungsbereich (6) im 
Flash-E-PROM-Speicher (5) vom Steuergerat selbst in der 
durch die Datei (3) des Programmierdatensat zes bestimm- 
ten Weise programmiert ; hierzu wird, wie bereits er- 
wahnt, die oben erlauterte, im Steuergerat (4) enthal- 
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tene Flash-E-PROM-Programmiereinr ichtung (27 ) benutzt . 

Im Gegensatz zu den Schritten erstens bis drittens, die 
wie erlautert, zeitlich nicht notwendigerweise zusam- 
mengehoren, werden die nachf olgenden vierten bis sieb- 
ten Schritte als zusammengehoriger Vorgang entweder 
beim Fahrzeughersteller , oder in wie erlautert beson- 
ders vorteilhaf ter Weise in der Werkstatt, durchge- 
f uhrt - 

Die einzelnen Darstellungen von Fig. 3 zeigen Dateien 
der Beschreibungsdaten mit erweiterter Gerate-Beschrei- 
bung fur die zugelassenen Steuergerate : 

In der Beschreibungsdaten-Datei (2a) nach Fig. 3a 
sind drei unterschiedliche Hardware-Nummern spezi- 
fiziert, was bedeutet, dali alle (logisches ODER) 
Steuergerate (4) mit dem Geratestand nach diesen 
Hardware-Nummern zur Programmierung zugelassen 
sind . 

In der Beschreibungsdaten-Datei (2b) nach Fig. 3b 
wird eine Hardware-Nummer von einem Bereich von 
Seriennummern gefolgt; dies bedeutet, dafi der durch 
die Hardware-Nummer beschriebene Geratestand durch 
diesen Bereich von Seriennummern eingeschrankt ist 
(logisches UND) ; es sei erganzt, daft statt eines 
Bereiches von Seriennummern auch nur eine einzige 
Seriennummer angegeben werden kann. 

In der Beschreibungsdaten-Datei (2c) nach Fig. 3c 
folgt auf die Hardware-Nummer eine Sof tware-Nummer , 



20 



die einen bestimmten Sof twarestand des durch die 
Hardware-Nummer festgelegten Geratestandes eines 
Steuergerates (4) bestimmt; dies bedeutet, daft der 
durch die Hardware-Nummer beschriebene Geratestand 
durch den durch die Sof tware-Nummer beschriebenen 
Sof twarestand eingeschrankt ist (logisches UND) . Es 
konnen auch mehrere Sof tware-Nummern angegeben war- 
den, so daft sich die Einschrankung auf die Auswahl 
der angegebenen Sof tware-Nummern bezieht (logisches 
ODER) . 



In der Beschreibungsdaten-Datei (2d) nach Fig. 3d 
folgt der Hardware-Nummer sowohl ein Bereich von 
Ser iennummern als auch eine Sof tware-Nummer ; dies 
bedeutet, daft der durch die Hardware-Nummer be- 
schriebene Geratestand eines Steuergerates (4) so- 
wohl durch eine oder einen Bereich von Seriennum- 
mern (logisches UND), als auch durch eine (oder im 
Falle von mehreren durch mehrere) Sof tware-Nummern 
eingeschrankt ist (logisches UND), 



Bei der Beschreibungsdaten-Datei (2e) nach Fig. 3e 
sind drei Hardware-Nummern eingegeben, und die 
letzte Hardware-Nummer wird sowohl durch zwei Be- 
reiche von Seriennummern als auch durch die Soft- 
warestande von vier Sof tware-Nummern eingeschrankt 



Unter Fig. 3f ist eine Beschreibungsdaten-Datei 
(2f) gezeigt, bei der zwei Speicherabbild-Dateien 
und zwei (durch Sof tware-Nummern und/oder Serien- 
nummern jeweils welter eingeschrankte Hardware-Num- 
mern) spezifiziert sind; bei der Ausfiihrung des auf 
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diesem Beschreibungsansat z beruhenden Programmier- 
datensatzes wird das eine Speicherabbild nur in Ce- 
rate mit der zugehorenden einen Hardware-Nummer und 
das andere Speicherabbild nur in Cerate mit der an- 
deren Hardware-Nummer aufgenommen. Auf diese Weise 
lassen sich also mit einem Programmierdatensat z un- 
terschiedliche Cerate unterschiedlich programmie- 
ren . 

Erwahnt sei, daft die Beschreibungsdaten weitere Ce- 
rate-, Bauelemente- oder Sof tware-spezif ische Kennungen 
enthalten konnen, die eine weitere Verfeinerung der 
Einschrankungen ermoglichen. Beispielsweise kann auch 
eine Identif ikat ion des Mikroprozessors den Beschrei- 
bungsdaten hinzugefugt werden. 

Wie erlautert, ist eine Beschreibungsdaten-Datei (2x) 
nach Fig. 2 bzw. Fig. 3a bis Fig. 3f als Textfile mit 
einzelnen Textzeilen ausgebildet. Wie vorstehend be- 
reits sinngemaft gezeigt, gibt es eine Reihe ganz be- 
stimmter Worter, die jeweils als OP-Key, d. h. als 
Kennwort fiir eine bestimmte Operation, wirksam sind. 
Der zu einer derartigen Operation gehorende Operand ist 
im nachf olgenden Text in zwei Anf uhrungszeichen einge- 
bettet. Der gesamte andere Text ist frei wahlbar, so 
daft auch eine ausftihrliche Klartext-Komment ierung in- 
nerhalb des Textfiles moglich ist. 

Wie erlautert, erzeugt der Programmierdaten-Konverter 
(7) aus der Datei (2) des Beschreibungsdatensat zes und 
der Datei (1) des Speicherabbilds die Datei (3) des 
Programmierdatensat zes und fugt bei diesem Datenverar- 
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beitungsvorgang die im Beschreibungsdatensat z enthalte- 
nen Operationen als dem "Mutter-Format" unterlagerten 
Satz von "Tochter-Records" ein, wobei fur jede Opera- 
tion ein bestimmter Record-Typ festgelegt ist. Die Zu- 
ordnung eines vorstehend erwahnten Record-Typs (es kon- 
nen noch weitere Record-Typen festgelegt werden) im 
Programmierdatensatz zum OP-Key des Beschreibungsdaten- 
satzes ergibt sich aus folgender Tabelle: 



OP-Key 


Record- 
Typ 


Input 




Output 




HardwareNumber 


02 


Serial Number 


03 


Sof twareNumber 


04 



Es sei darauf hingewiesen^ dafi das Zusammenf ugen einer 
das Speicherabbild beschreibenden Datei und einer Datei 
mit der Gerate-Beschreibung zur Datei eines Program- 
mierdatensat zes auch praktisch in anderer Weise ausge- 
fuhrt werden kann; um die Erfindung zu realisieren, ist 
es lediglich erf order 1 ich , dafi) der Programmierdatensatz 
neben dem Speicherabbild auch die Gerate-Beschreibung 
in hinreichender Weise umfafit, damit im Steuergerat die 
Kompat ibilitat spriif ung in eindeutiger Weise ausgefiihrt 
werden kann. 

In Fig. 5 sind Da tenubertragungsmi t t el zur Ubertragung 
der Datei (3) des Programmierdatensat zes in das elek- 
tronische Steuergerat (4) dargestellt. Neben dem elek- 
tronischen Steuergerat (4) sei beispielsweise im Fahr- 
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zeug ein ABS-Steuergerat (16) und ein Steuergerat fur 
eine Fahr zeugmotor-Steuerung (17) vorgesehen. Nach dem 
Stand der Technik sind diese Gerate uber einen CAN- 
Fahrzeugbus (10) miteinander verbunden, an den z. B. 
auch das Dashboard-Display (15) in der Fahrerkabine an- 
geschlossen ist. 

Uber dieses Dashboard-Display (15) konnen gegebenen- 
falls Diagnosedaten uber den er f olgreichen bzw. nicht 
erf olgrei Chen Verlauf der Flash-E-PROM-Programmierung 
im Steuergerat (4) durch das Steuergerat selbst ange- 
zeigt werden. 

Zur Verbindung des Diagnosegerates (9) mit der im 
Straiienf ahr zeug vorgesehenen Elektronik (18) ist an 
dieser ein 16-poliger Diagnosestecker (11) nach ISO/DIS 
15031-3 vorgesehen, an den auch die verdrillten Leitun- 
gen CAN_H und CAN_L des CAN-Fahr zeugbusses (10) ange- 
schlossen sind (am Diagnosestecker (11) sind fur CAN_H 
Kontakt Nr. 6 und fiir CAN_L Kontakt Nr. 14 vorgesehen) . 

Das Diagnosegerat (9) wird zunachst durch Einstecken 
des Anschlufikabels (13) in den Diagnosestecker (11) an 
das Fahrzeug (18) angeschlossen . 

Erwahnt sei, daft z. B. auch die K-Leitung zur Daten- 
ubertragung benutzt werden kann, naturlich vorausge- 
setzt, die K-Leitung ist uberhaupt installiert (am Dia- 
gnosestecker (11) ist fur die K-Leitung der Kontakt Nr. 
7 reserviert ) . 

Bei dem oben erlauterten Anschluft uber "CAN" ist 
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nachteilig, daft der CAN-Fahr zeugbus ungepuffert, d. h. 
ohne Potentialtrennung, am Diagnosestecker anliegt. Zur 
Realisierung eines potent ialfreien CAN-Anschlusses be- 
steht die Moglichkeit - in Fig. 5 gestrichelt gezeich- 
net - ein CAN-Gateway (12) vorzusehen, welches zur Ver- 
bindung mit dem Diagnosegerat (9) iiber seinen galva- 
nisch getrennten CAN-Anschluft (14) ebenfalls an einem 
Diagnosestecker (11) angeschlossen ist. Bei dieser L6- 
sung mufi jedoch das CAN-Gateway (12) als zusatzliches 
Modul im Fahrzeug (18) installiert sein, was zu hoheren 
Grundkosten f iihrt . 

Zur Vermeidung dieser Kosten kann die Ubertragung zwi- 
schen Diagnosegerat (9) und dem Steuergerat (4) im 
Fahrzeug (18) auch per Funk geschehen; hierzu wird am 
Diagnosestecker (11) ein Funkmodul aufgesteckt und die- 
ses wird per Funk vom Diagnosegerat (9) aus angesteu- 
ert; dieser Ubertragungsweg ist natiirlich per se poten- 
tialget rennt . 

Unter Nutzung einer derartigen Funkverbindung rtickt so- 
gar die Realisierung der Vision naher, in nicht allzu 
ferner Zukunft die im Feld befindlichen elektronischen 
Steuergerate (4) automatisch "on-line" nachzuprogram- 
mieren, ohne daft hierzu eine Werkstatt uberhaupt aufge- 
sucht werden muft; hierzu wird das Funkmodul fest im 
Fahrzeug (18) installiert und wird per Funk direkt vom 
Diagnosegerat (9) in der Werkstatt zur Durchfuhrung des 
Programmierdialogs angesteuert. Mit den erlauterten 
Mitteln ermoglicht die Erfindung schon heute die Aus- 
wahl eines bestimmten Geratetyps oder auch die selek- 
tive Auswahl eines einzelnen Steuergerates . 
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Patent an spriiche 

1. Programmierverf ahren fiir mindestens einen Bereich 

(6) in mindestens einem elektronisch losch- und be- 
schreibbaren Speicher (5), welcher als Programm- 
speicher, als Datenspeicher oder als Programm- und 
Datenspeicher fiir mindestens einen Mi kroprozessor 
(21) in einem elekt ronischen Steuergerat (4) vorge- 
sehen ist, vorzugsweise zum Einsatz fiir eine in der 
Elektronik (18) eines Stralienf ahr zeugs angeordnete 
elektronische Steuerung oder Regelung, mit folgen- 
den Merkmalen: 

a) In einem ersten Schritt wird mindestens ein 
Speicherabbild (1) fiir den mindestens einen 
elektronisch losch- und beschreibbaren Speicher 
(5) in einem dort festgelegten Speicherbereich 
er zeugt ; 

b) in einem zweiten Schritt wird ein Beschrei- 

bungsdatensat z (2) erzeugt, welcher eine Ge- 
rate-Beschreibung der fiir die Programmierung 
zugelassenen elektronischen Steuergerate ent- 
halt, welche mindestens die Hardware-Nummer des 
Geratestandes mindestens eines elektronischen 
Steuergerates umf asst ; 



c) 



in einem dritten Schritt wird aus dem minde- 
stens einen Speicherabbild (1) und dem Be- 
schreibungsdatensat z (2) ein Programmierdaten- 
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satz (3) erzeugt, welcher die Gerate-Beschrei- 
bung enthalt; 

d) in einem vierten Schritt wird der Programmier- 
datensatz (3) in ein Diagnosegerat (9) eingele- 
sen; 

e) in einem funften Schritt wird der Programmier- 
datensatz (3) vom Diagnosegerat (9) unter 
Nutzung von Dateniibertragungsmitteln (13, 11, 
10, 26) in das Steuergerat ubertragen; 

f) in einem sechsten Schritt wird vom Steuergerat 
(4) gepruft, ob das elektronische Steuergerat 
(4) zum Bereich der fur den ubertragenen Pro- 
grammierdatensat z (3) zugelassenen Steuergerate 
gehort, was durch die Gerate-Beschreibung (2) 
festgelegt ist; 

g) gehort das elektronische Steuergerat (4) zum 
Bereich der zugelassenen Steuergerate, so wird 
in einem siebten Schritt der mindestens eine 
Bereich (6) in dem mindestens einen elektro- 
nisch losch- und beschreibbare Speicher (5) des 
Steuergerates (4) vom Steuergerat (4) selbst in 
der durch den Programmierdatensat z (3) bestimm- 
ten Weise programmiert . 

Programmierver f ahren nach Anspruch 1, dadurch ge- 
kennzeichnet , daB die Schritte a) bis d) als zeit- 
lich nicht notwendigerweise zusammengehor iger Vor- 
gang beim Steuergeratehersteller , und nachfolgend 
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die Schritte e) bis g) als zeitlich zusammengehori- 
ger Vorgang entweder beim Fahr zeughersteller oder 
in der Werkstatt durchgefuhrt werden. 

Programmierverf ahren nach Anspruch 1 oder 2, da- 
durch gekennzeichnet , daft der Programmierdatensat z 
(3) im fiinften Schritt e) sequentiell als Folge von 
Datensegmenten in das Steuergerat (4) ubertragen 
wird . 

Programmierverf ahren nach mindestens einem der An- 
spriiche 1 bis 3, dadurch gekennzeichnet , daft die 
Gerate-Beschreibung (2a) der fur die Programmierung 
zugelassenen elekt ronischen Steuergerate mehrere 
Hardware-Nummern der Geratestande eines oder mehre- 
rer elektronischer Steuergerate umfasst. 

Programmierverf ahren nach Anspruch 1 oder 4, da- 
durch gekennzeichnet , daft der durch die Hardware- 
Nummer beschriebene Geratestand eines Steuergerates 
durch eine Seriennummer oder durch einen Bereich 
von Seriennummern (2b) eingeschrankt ist. 

Programmierverf ahren nach Anspruch 1 oder 4, da- 
durch gekennzeichnet , daft der durch die Hardware- 
Nummer beschriebene Geratestand eines Steuergerates 
durch eine Sof tware-Nummer (2c) oder durch einen 
Bereich von Sof tware-Nummern (2e) eingeschrankt 
ist, welche den Sof twarestand beschreiben. 

Programmierverf ahren nach Anspruch 1 oder 4, da- 
durch gekennzeichnet , daft der durch die Hardware- 



28 



Nummer beschriebene Geratestand eines Steuergerates 
sowohl durch eine Seriennummer oder einen Bereich 
von Seriennummern, als auch durch eine Software- 
Nummer oder einen Bereich von Sof tware-Nummern (2e) 
eingeschrankt ist . 

Programmierver f ahren nach mindestens einem der vor- 
stehenden Anspruche, dadurch gekennzeichnet , daii 
der im dritten Schritt c) erzeugte Programmierda- 
tensatz (3) wahrend seiner Erzeugung verschliisselt , 
und vom Steuergerat im funften Schritt e) wieder 
ent s chilis se It wird . 

Programmierverf ahren nach mindestens einem der vor- 
stehenden Anspruche, dadurch gekennzeichnet , dali 
der im dritten Schritt c) erzeugte Programmierda- 
tensatz (3) wahrend seiner Erzeugung komprimiert, 
und vom Steuergerat (4) im funften Schritt e) wie- 
der de-komprimiert wird. 

Programmierverf ahren nach mindestens einem der vor- 
stehenden Anspruche, dadurch gekennzeichnet , daB 
der im dritten Schritt c) erzeugte Programmierda- 
tensatz (3) durch mindestens eine Checksumme abge- 
sichert wird, die vom Steuergerat iiberpruft wird. 

Programmierver f ahren nach mindestens einem der vor- 
stehenden Anspruche, dadurch gekennzeichnet , daft 
als Datenubert ragungsmittel zur Ubertragung des 
Programmierdatensat zes (3) vom Diagnosegerat (9) in 
das Steuergerat (4) Funkmittel benutzt werden. 
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Programmierverf ahren nach Anspruch 11, dadurch ge- 
kennzeichnet , dali das Programmierverf ahren automa- 
tisch "on-line" fiir ein im Feld befindliches 
Steuergerat (4) durchgefuhrt wird, ohne daft hierzu 
eine Werkstatt aufgesucht wird. 
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Zusammenf assung 

Es wird ein Verfahren zum sicheren Programmieren von 
einem elektronisch losch- und beschreibbaren Speicher 
in einem Steuergerat vorgeschlagen . 

Fiir das Verfahren wird ein Programmierdatensat z be- 
nutzt, der in das Steuergerat eingelesen und von diesem 
ausgewertet wird. Der Programmierdatensat z enthalt ne- 
ben dem zu programmierenden Speicherabbild eine Gerate- 
Beschreibung der fiir die Programmierung zugelassenen 
Steuergerate , so dali das Steuergerat eine Identitats- 
Prufung durchfuhren kann, ob es selbst zum Bereich der 
zugelassenen Steuergerate gehort . Ergibt die Identi- 
tatsprufung, dafi es zur Programmierung zugelassen ist, 
so wird die Neuprogrammierung unter Nutzung einer im 
Steuergerat selbst vorgesehenen Programmiereinr ichtung 
durchgef uhrt . 
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